Binance afirma que una entrevista de trabajo falsa y una herramienta de IA interna permitieron el robo de 6.300 millones de dólares

Binance publicó el 3 de noviembre sus primeras conclusiones sobre el ataque del 29 de octubre contra sus monederos calientes, que según la empresa afectó a unos 6.340 millones de dólares en activos digitales. El informe describe una campaña de varios meses basada en personas, dispositivos y herramientas internas más que en un fallo de software.

Cuatro meses hasta los monederos

Según Binance, el trabajo previo empezó en junio, cuando un ingeniero del equipo Wallet DevOps instaló un paquete de Homebrew manipulado. The National informa de que intentaba instalar una conocida herramienta de programación con IA que había encontrado en un buscador. Binance sustituyó el equipo y cambió las credenciales, pero quedaron expuestos el puesto del ingeniero y sus compañeros.

En septiembre, un segundo ingeniero recibió un contacto en una plataforma de empleo legítima de alguien que se hacía pasar por director de proyectos. The Hacker News describe dos rondas de entrevistas con una empresa ficticia que terminaron con una "tarea" de programación cuyo repositorio sustituía un componente de una herramienta de desarrollo por otro malicioso. Ejecutarla en su ordenador de trabajo dio a los atacantes un punto de entrada.

El 20 de octubre, explica Binance, los intrusos usaron esa máquina y una herramienta de IA interna para hacerse con las cuentas de otros dos ingenieros, uno de los cuales tenía un token para desplegar contenedores. El 29 de octubre lo emplearon para desplegar un contenedor, ejecutar un script malicioso y llegar a un servicio interno de firma, y en pocas horas sacaron XRP, SOL, OP, BTC y ETH de los monederos calientes.

Por qué importa la herramienta de IA

Binance no detalla cómo se abusó de la herramienta. Aun así, su relato la sitúa en el punto en que la intrusión saltó de un solo portátil a las cuentas con permisos de despliegue. Los asistentes y agentes que las empresas usan internamente suelen operar con las credenciales de los empleados y con amplio acceso al código y la infraestructura, lo que puede convertirlos en un puente útil para quien controle el equipo de un usuario. Entre sus medidas, Binance afirma haber reconstruido la herramienta y sus controles de acceso, y haber añadido detección de anomalías de comportamiento basada en IA.

Atribución y pérdidas

El FBI vinculó el robo a TraderTraitor, una operación norcoreana, y señaló que los piratas convertían sobre todo los activos en ether, según The Korea Times. Binance asegura haber congelado o interceptado unos 2.850 millones de dólares, que asumirá la pérdida en lugar de sus usuarios y que el 31 de octubre había repuesto el 98 % de los activos afectados. La investigación sigue abierta.